Laurence CadieuxAllá por 2005, el investigador de seguridad Mark Burnett escribió un libro titulado Perfect Passwords, en el que aconsejaba a la gente elegir un día al año para revisar y cambiar sus contraseñas. A Intel le gustó la idea de tener un día especial dedicado a la concienciación y la higiene general en materia de contraseñas (y no solo a rotarlas), y el 2 de mayo de 2013 el gigante tecnológico lanzó el primer Día Mundial de la Contraseña. Desde entonces, se celebra el primer jueves de mayo.
Con motivo de la novena edición anual del Día Mundial de la Contraseña en 2022, nos preguntamos: ¿están las organizaciones y sus usuarios finales mejorando en la gestión de contraseñas, o están empeorando? Resulta que la respuesta es ambas cosas a la vez. Empecemos por las tendencias y prácticas positivas.
El uso de la 2FA y los gestores de contraseñas va en aumento
Según la encuesta Password Decisions Survey de Bitwarden de 2022, el 88 % de los responsables de decisiones de TI de todo el mundo utiliza la autenticación de dos factores (2FA). Cierto es que la 2FA no es infalible. Aun así, es un componente esencial de una buena gestión de contraseñas. La encuesta también reveló que el 86 % utiliza gestores de contraseñas, lo que supone un aumento del 9 % respecto al año anterior.
Sin embargo, aunque la creciente dependencia de los gestores de contraseñas es una buena noticia, esta estadística no es necesariamente aplicable a todo tipo de organizaciones. La encuesta Devolutions State of Cybersecurity in SMBs in 2021-2022 reveló que el 71 % de las pymes utilizaba un gestor de contraseñas, un 10 % menos que el año anterior.
¿Qué podría explicar este descenso? El motivo más probable es que, a pesar de las abundantes pruebas en su contra, algunas pymes siguen aferradas a la creencia errónea de que no son tan vulnerables como las grandes organizaciones y empresas. Básicamente, estas pymes piensan: «todavía no nos han hackeado, así que los métodos que utilizamos para almacenar y compartir contraseñas deben de ser seguros». Esta percepción es claramente errónea, pero como dice el refrán: las costumbres arraigadas son difíciles de cambiar (¡tanto las buenas como las malas!).
Gestores de contraseñas: ¿en la nube o en las instalaciones?
En un momento analizaremos otras tendencias preocupantes en materia de gestión de contraseñas reveladas por la encuesta. Pero antes, profundicemos en los gestores de contraseñas y examinemos un aspecto crucial —y, para algunos, complejo y confuso—: la nube frente a las instalaciones locales.
En esencia, esta decisión debería basarse en las necesidades específicas de gestión de contraseñas de cada organización, que varían en función de múltiples factores, entre ellos (aunque no exclusivamente):
- Ubicación y roles de los usuarios
- Requisitos de disponibilidad
- Tamaño y complejidad del entorno de TI
- Valor de los datos que se deben proteger
- Requisitos de cumplimiento normativo y seguridad
En algunos casos, resulta más prudente implementar despliegues híbridos que combinen elementos de soluciones tanto en la nube como locales. Además, una misma solución podría desplegarse varias veces con el fin de aplicar políticas como la segregación de funciones (SoD).
Independientemente de la solución de gestión de contraseñas que elija una organización —local, en la nube, gratuita o de pago—, es fundamental definir con claridad todas las necesidades (actuales y previstas) antes de buscar la tecnología adecuada.
Almacenar, elegir y compartir contraseñas sigue siendo un problema
Hace un momento mencionábamos que algunas tendencias en la gestión de contraseñas son problemáticas en lugar de positivas. Estos son los detalles menos alentadores: según la encuesta de Bitwarden ya citada, el 53 % de los encuestados afirmó que almacena las contraseñas en hojas de cálculo y otros documentos, el 42 % confía en su memoria y el 29 % usa papel y bolígrafo.
Y la cosa empeora: el 53 % de los responsables de decisiones de TI comparte contraseñas por correo electrónico, un 14 % más que el año anterior. Sin duda, la rápida expansión del teletrabajo está detrás de esta tendencia. Además, a pesar de los numerosos ciberataques de gran repercusión y de las crecientes vulnerabilidades derivadas del teletrabajo, el 92 % de los encuestados admitió que reutiliza las mismas contraseñas en varias cuentas, el 41 % las comparte por chat y el 31 % las comparte en conversaciones.
¿Es eliminar las contraseñas la solución?
En teoría, las vulnerabilidades asociadas a las contraseñas podrían resolverse eliminándolas. Lamentablemente, en la práctica, esto —al menos por ahora— no es una solución viable para la mayoría de las organizaciones (y prácticamente todas las pymes), que no pueden implementar de forma práctica ni asequible una infraestructura totalmente libre de contraseñas. Es más, a pesar de sus inconvenientes inherentes, las contraseñas son muy versátiles y pueden usarse en cualquier dispositivo, en cualquier momento y desde cualquier lugar.
Dado que no es práctico eliminar las contraseñas, la siguiente mejor opción es reducir la brecha adoptando un enfoque híbrido. Dicho enfoque híbrido utiliza una cuenta vinculada a un proveedor de identidad (IdP) para autenticarse en una solución de gestión de accesos privilegiados (PAM). Como resultado, los usuarios finales solo necesitan una única contraseña para conectarse a las cuentas de activos independientes no federados (por ejemplo, impresoras, equipos de red, máquinas especializadas, etc.), mientras que la solución PAM facilita la conexión a todas las demás cuentas. Las soluciones PAM más avanzadas también permiten a las organizaciones añadir un mayor control mediante funciones como la inyección segura de credenciales, los requisitos de solicitud de acceso y el uso limitado en el tiempo.
Mirando hacia el futuro
Un asombroso 81 % de las brechas de seguridad relacionadas con hackeos implica contraseñas robadas o débiles, y el coste medio de una sola filtración de datos se ha disparado hasta los 4,24 millones de dólares estadounidenses por incidente, la cifra más alta registrada hasta la fecha.
Gestionar, almacenar y compartir las contraseñas de forma adecuada (lo que incluye supervisar su uso) es algo que todas las organizaciones DEBEN hacer para reforzar sus defensas y minimizar su exposición. En este Día Mundial de la Contraseña, animamos encarecidamente a todas las organizaciones a convertir esto en una prioridad absoluta. Los riesgos y lo que está en juego son mayores que nunca, y las buenas prácticas de gestión de contraseñas no son solo importantes. Son fundamentales.